李群涛：个人信息处理违法性的双阶判断标准 | 法研灯塔获奖作品（十）

判断个人信息处理活动是否具有违法性，即判断个人信息处理活动是否违反《中华人民共和国个人信息保护法》(下文简称《个人信息保护法》)及其相关法律规范(下称“个人信息保护规范体系”)，是判断个人信息处理者是否需要承担行政责任、民事责任或刑事责任的重要前提。不仅如此，个人信息处理违法性判断标准也将左右个人信息处理者的合规策略。此外，个人信息处理违法性判断标准亦与数据要素流通复用秩序形成、公共数据开放以及数据要素市场建设等息息相关。那么，秉持何种标准方可妥适判断个人信息处理活动是否具有违法性？对此，司法机关通常重点关注的标准是个人信息处理活动是否具备合法性基础：若个人信息处理活动具备合法性基础，则司法机关倾向于认定其不具有违法性；反之，则认定其具有违法性。

执法机关把握的标准比司法机关更加多元。除重点检查是否具备合法性基础(主要是同意)外，还检查是否告知、是否超越必要范围、是否为个人行使权利设置了便捷方式、网络信息系统的安全等级等。

学界走得更远，其对违法性的判断标准可以概括为“基于个人信息处理具体规范的单阶判断标准”。所谓“个人信息处理具体规范”，主要指个人信息保护规范体系中除《个人信息保护法》第5条中规定的正当原则以外的其他部分，包括《个人信息保护法》中若干相对具体的要求、相关行政法规、部委规章和地方性法规，甚至包括程序规范。概言之，个人信息处理具体规范主要包括两部分：第一，具体规则，如《个人信息保护法》第13条以下条文；第二，虽非具体规则但因下位法对其进行详细展开等而成为较具体的规范，典例为《个人信息保护法》第5条中的“必要原则”。相应地，基于个人信息处理具体规范的违法性单阶判断标准，仅要求将个人信息处理活动与个人信息处理具体规范(而不包括正当原则)进行逐一比照。如果个人信息处理活动有任何不符合个人信息处理具体规范之处，即可认定个人信息处理活动具有违法性(“一票否决”)；反之，如果全部符合，则径直认定个人信息处理合法。

值得注意的是，“基于个人信息处理具体规范的单阶判断标准”在仰赖具体规范方面似走向极端，而且未充分考虑正当原则的独立适用空间。一方面，对个人信息处理具体规范进一步细化的呼声愈加强烈。作为回应，最高人民法院正在制定《个人信息保护法》的司法解释，执法机关密集出台相关文件，若干相关国家标准也铺天盖地“袭来”。另一方面，正当原则在违法性判断问题上未得到重视。司法机关虽在判决中经常提及正当原则，但在违法性判断时，或者回避该原则而径行适用个人信息处理具体规范，或者直接通过是否符合个人信息处理具体规范来判断是否符合正当原则。执法机关通报个人信息处理活动的违法之处时也较少提及违反正当原则，其公布的各类违法性判断指南亦仅象征性地提及正当原则，实质上仍注重个人信息处理具体规范。学界也是如此，虽强调正当原则是个人信息保护的重要原则，但在违法性判断方面几乎将其“屏蔽”。

然而，这一走向极端的违法性单阶判断标准具有无法漠视的不良效果。申言之，违法性单阶判断思路难以达至“不枉不纵”的理想效果。相反，本文将指出，单阶判断标准甚至同时存在“枉”与“纵”两类漏洞，据之判断则可能将本应判断为违法的个人信息处理活动判断为合法，或者相反。

这一走向极端的违法性单阶判断标准至少应当引起下列三方面反思：第一，从个人信息处理违法性判断原理出发，个人信息处理具体规范在违法性判断中是否具有终局性；第二，正当原则在违法性判断中是否果真应当被如此“理所当然”地忽略；第三，相应地，当前个人信息处理违法性的单阶判断标准是否妥适。基于上述反思，本文尝试以解释论为进路，提出个人信息处理违法性的新判断标准——双阶判断标准。

个人信息处理违法性判断的基本原理是控制个人信息处理风险。从手段与目的界分的角度分析，这一原理具有“风险控制手段＋风险控制目的”的双阶架构。其中，风险控制手段在实定法上具象为个人信息处理具体规范，风险控制目的在实定法上具象为正当原则。实定法层面的个人信息处理具体规范与正当原则之间呈现“遵从—统辖”关系。此种双阶架构及其内部关系表明，个人信息处理违法性宜采取双阶判断标准。

(一)违法性判断重要原理：个人信息处理风险控制

当前违法性单阶判断标准的盛行，重要原因是忽视实定法和应然层面违法性判断原理间的对应关系。即使作为违法性判断依据的个人信息保护规范体系已然存在，但是探寻违法性判断原理仍然具有指引正确解释和适用个人信息保护规范体系的重要功能。

违法性判断原理的分析起点在于平衡个人信息利用与保护。事后判断是否违反个人信息保护规范体系与事前判断是否合乎个人信息保护规范体系属于一体两面，二者遵循相同思路。因此，违法性判断原理与个人信息保护规范体系的底层原理并无二致，而个人信息保护规范体系的底层原理可经由分析《个人信息保护法》第1条得出。《个人信息保护法》第1条提出三大任务，即“规范个人信息处理活动”“保护个人信息权益”“促进个人信息合理利用”。细察可知，三者内部也存在手段与目的的关系。申言之，“规范个人信息处理活动”是手段，而“保护个人信息权益”“促进个人信息合理利用”均属目的。然而，绝对的保护与绝对的利用二者矛盾对立，分别处于一条连续光谱的两极，而光谱中间地带是保护与利用的不同程度妥协状态。因此，欲兼顾“保护个人信息权益”“促进个人信息合理利用”两大目的，则须在连续光谱中间地带寻找平衡点。

然而，这一个人信息保护与利用的平衡点并非在于个人控制其个人信。坚称这一平衡点在于个人控制其个人信息者，其基本逻辑链条为:个人信息与个人有关，是个人人格之延伸，故原则上应由个人控制(法定例外情形除外)。在这种逻辑下，要么不处理个人信息，要么处理目的范围和信息范围都要最小化。上述个人控制论具有不可忽视的学理价值，但是其逻辑的确存在无法漠视的四大缺陷：第一，从手段与目的界分角度，“个人控制其个人信息”，相比平衡个人信息利用与保护，前者仅是手段，后者才是目的，二者处于不同的体系地位，故并非等同。第二，即使在实现平衡保护与利用的可用“手段”中，“个人控制其个人信息”也并非唯一选项。第三，个人控制论本身有缺陷，因为该理论在赋权个人自行决定其个人信息处理的同时，暗含个人后果自负的潜台词。然而，个人虽形式上可以通过同意等手段实施控制，但实质上没有充分的时间、能力、成本和精力以真正实现控制。进而，个人后果自负与个人微弱的控制力之间显非对称，导致初心极佳的个人控制论最终演化为有害于个人权益保护的“甩锅”理论。伦敦国王学院罗杰􀅰布朗斯沃德(Roger Brownsword)教授对此效果有精到的概括：对于个人信息处理者而言，取得个人同意看似增加了烦琐的程序，实则转变为懒惰的理由。第四，国际上并非均承认“个人控制其个人信息”作为平衡保护与利用的手段，甚至通常被认为赞同个人控制论的欧洲也对此进行过澄清。申言之，欧洲委员会公布的《大数据社会个人数据处理中的个人保护指南》(下称《指南》)即指出，“大数据应用的复杂性和模糊性应该促使规则制定者不再将控制概念局限于个人控制(个人信息)”。

事实上，个人信息保护与利用的平衡点，更在于有效控制个人信息处理风险。对此，需澄清处有二：第一，此处“风险”是指个人信息处理对国家利益、社会公共利益和他人正当权益造成侵害的可能性，是更加广义的概念，而非局限于狭义的数据泄露、滥用这两种具体情形的发生可能性。第二，强调风险“控制”而非“消灭”，因为按照现代科学的基本认知，风险无法被彻底消灭，而法不强人所难，故不应要求消灭风险。应当说，将平衡点定位于风险可控是合理的：首先，个人信息保护规范之肇始，即在于控制技术发展对社会带来的风险，或者驯服技术风险。其次，即使在欧洲，前述欧洲委员会《指南》亦在否定个人控制论后继而提出，“在对数据使用风险进行多重影响评估的更复杂过程中，个人控制理念也进一步发展了”。这表明欧洲已经意识到工作重心从控制个人信息迁移至控制个人信息处理风险。最后，在我国实定法体系中，将平衡点定位于风险可控也属合理。检验这一结论可以采用“作差法”，即假定个人信息保护规范体系整体不存在，但又需要在利用个人信息过程中保护个人权益。此种情况下，民法所缺失的是权益保护时机。申言之，民法上“消除危险”责任表明对个人权益的保护可以提早到侵权危险产生“之后”。然而，现代信息处理技术的急速发展，使个人信息处理侵权危险一旦产生，往往已成摧枯拉朽之势，寄希望于危险产生之后而消除，力有不逮。因此，关键之处是如何在危险产生“之前”控制风险以避免其升级。但民法注定解决不了此问题，于是这也正是个人信息保护规范体系所能、所应解决的问题，即在危险产生“之前”，就通过各种措施有效控制个人信息处理风险，防止这种风险升级为危险。截至目前，风险控制理论在我国学界已经凝聚较高程度的共识。

综上，个人信息处理违法性判断的原理在于控制个人信息处理活动对国家利益、社会公共利益和个人信息权益造成的不合理风险(下称“个人信息处理风险控制”)。

(二)风险控制的双阶分化：控制手段以及控制目的

从手段与目的二分的视角观察“个人信息处理风险控制”这一违法性判断原理可见，该原理内部存在双阶架构：个人信息处理风险的控制手段(方案)和个人信息处理风险的控制目的(目标)。

风险控制手段是为实现风险控制目的而采取的“整体方案”。风险控制目的的达成必然建立在风险控制手段的执行基础上，而风险控制手段也以达成风险控制目的为依归。风险控制手段是包含三项内容的整体方案设计：一是识别个人信息处理活动本身的风险水平；二是采取风险控制措施(据此，在本文中“风险控制措施”是“风险控制手段”的下位概念)；三是考察个人信息处理活动本身的风险水平与风险控制措施间的适配度。而风险控制目的则强调“有效”控制个人信息处理风险或者“风险可控”。有必要澄清，“风险可控”并不等同于个人信息处理活动本身可能引发的风险水平低。申言之，个人信息处理活动可能引发的风险水平低，在体系上仅属于前述风险控制手段的三项内容之一；而风险可控，强调的是个人信息处理活动本身的风险水平与风险控制措施间的适配状态。事实上，“风险可控”毋宁更倾向于考察“差值”，即个人信息处理者采取之风险控制措施所能有效控制的风险水平是否高于或等于个人信息处理活动本身所引发的风险水平。

上述双阶架构，不仅在应然(原理)层面清晰呈现，而且在实然(实定法)层面也有所对应。一方面，应然层面的风险控制手段在实然层面对应“个人信息处理具体规范”。欲观察到这一对应关系，需要首先将个人信息处理具体规范的观察视角从横向切换为纵向。所谓条文的横向观察视角，即以单一条文为最小观察单位，逐一观察单一条文内部的构成要件及对应的法律效果。所谓条文的纵向观察视角，系将全部个人信息处理具体规范打包，并将每一条文都拆分成构成要件和法律效果，整体观察构成要件且整体观察法律效果。从纵向观察视角将能洞察下列见解：应然层面风险控制手段中的“识别个人信息处理活动本身的风险水平”，对应个人信息处理具体规范中的构成要件整体；应然层面的“采取风险控制措施”，对应个人信息处理具体规范中的法律效果整体；应然层面的“个人信息处理活动本身的风险水平与风险控制措施间的适配度”，则由个人信息处理具体规范内部各条文中构成要件与法律效果的联结关系承载。另一方面，关于风险控制目的，系由实定法层面的正当原则(《个人信息保护法》第5条中第2项原则)承载，下文第“四(一)”部分将论证，此处不赘。

(三)双阶间“遵从—统辖”关系：应然—实然手段差异之故

至此已知，个人信息处理违法性判断标准应为双阶架构，而澄清双阶架构内部关系，有助于明确双阶判断标准的运作机理。在应然层面，下列推论在相当程度上具有可信性：设若风险控制手段行之有效，则严格履行完毕就意味着风险控制目的(目标)同步实现。进而，风险控制手段是否得以严格履行，可单独作为个人信息处理违法性判断的唯一标准。然而，作为这一推论之重要前提的风险控制手段“行之有效”，至少在实然层面通常无法满足，须在特定时空条件下经受市场、实践的检验。因此，风险控制手段无法作为唯一标准，风险控制目的也是判断标准中不可或缺的部分。

至此，双阶之间仍存在着四种可能的关系：第一，个人信息处理未严格履行风险控制手段，或未实现风险控制目的，二者居其一即可表明违法性。第二，风险控制手段与风险控制目的分别居于“违法性认定事由”与“违法性阻却事由”之地位。申言之，若严格履行风险控制手段则终局确认合法，是否实现风险控制目的在所不问;若未严格履行风险控制手段则推定违法，而实现风险控制目的则可阻却违法。第三，风险控制手段与风险控制目的为“统辖—遵从”关系，即手段统辖目的、目的遵从手段，此时风险控制手段在违法性判断中具有决定性作用。第四，风险控制手段与风险控制目的为“遵从—统辖”关系，即手段遵从目的、目的统辖手段，此时风险控制目的这一判断标准须重点考虑。

然而，只有第四种可能关系能够肯认，主要原因在于实定法规定的风险控制手段与应然层面的风险控制手段之间存在差距。一般地，应然层面所追求的风险控制目的与实定法层面所追求的风险控制目的保持一致，但风险控制手段通常未必如此。应然层面的风险控制手段，特征有二：第一，存在多种选择。正所谓条条大路通罗马，经得起市场检验的、对于风险控制行之有效的方案通常不止一种。第二，动态变化。既然风险控制手段是最终风险控制方案，而风险具有动态变化性，那么风险控制手段就必然会随着时间、技术的发展而不断变化。然而，实然层面风险控制手段不必然会全面复刻应然层面的全部风险控制手段，这是由立法者认知的有限性、实定法的滞后性和确定性所决定的。进而，是否严格履行实定法上的风险控制手段，不必然分别对应风险控制目的是否实现。此时即需抉择：风险控制目的之实现与实定法载明的风险控制手段之履行，何者具有第一性。对此，前述违法性判断重要原理——有效控制个人信息处理风险——便能再次发挥提示作用。既然个人信息处理违法性判断最终是为了要求个人信息处理者在处理个人信息过程中“有效”控制风险，那么在前述抉择中显然应认为风险控制目的之实现具有第一性。于是，上述双阶之间四种可能的关系中，只有将风险控制目的实现置于第一性地位的第四种可能关系(即风险控制手段与风险控制目的为“遵从—统辖”关系)胜出。

第四种可能关系的胜出表明：第一，双阶标准之间存在“遵从—统辖”关系；第二，双阶标准中起统辖作用的是风险控制目的是否实现，即是否“有效”控制个人信息处理的风险；第三，既然目的统辖手段，那么个人信息处理具体规范是否被严格履行应位于一阶判断标准，而“风险控制目的是否实现”这一标准则应当压轴。

个人信息处理违法性判断标准呈现风险控制手段与风险控制目的的双阶架构，虽然后者居于“统辖”地位，但出于若干理由，有必要保留基于个人信息处理具体规范的第一阶判断标准。然而，一阶判断标准确实存在不可忽视的缺陷，并有可能造成“枉”和“纵”两种不良后果。相应地，一阶判断标准的功能应从违法性“确认”弱化为违法性“推测”。

(一)一阶判断标准的保留理由

在个人信息处理违法性判断标准双阶架构中，风险控制手段与风险控制目的形成“遵从”与“统辖”的关系。据此，或有观点会认为既然风险控制目的有统辖功能，则索性以风险控制目的作为违法性判断的唯一标准，不必考虑风险控制手段，即不必设置基于个人信息处理具体规范的第一阶违法性判断标准。但是，此种观点难以肯认，理由有七：

第一，尊重个人信息处理具体规范作为实定法的权威。个人信息处理具体规范是立法者为了达到个人信息处理风险控制目的而制定的规范，凝聚了集体智慧，在实定法施行方四年余的现阶段，仍具有重要规范价值。另外，仅将目的是否达成作为唯一的违法性判断标准，非人类社会所钟情的传统，“法治”一词本身即彰显对完成目的所需手段之重视。《个人信息保护法》的制定出台，同样说明在手段与目的的抉择中，立法者仍然不愿放弃手段的重要作用。风险控制手段对应的便是个人信息处理具体规范。即使出于尊重实定法效力，也不能忽视一阶判断，否则个人信息处理具体规范便有被架空之忧。

第二，一阶判断标准的推测结果具有一定准确度。一阶判断的推测系基于下述统计学意义上的假设：若个人信息处理者未遵循个人信息处理具体规范，则相应处理活动很有可能不会实现风险控制目的;反之亦然。如本文表1所呈现：将一阶判断的违法性推测结果比照最终的违法性判断结论，可见一阶判断的违法性推测结果仍具有相当程度的准确率。

第三，部分情况下仅经过一阶判断即可得到妥适结论。若经一阶判断推测个人信息处理违法，且在二阶判断时经法院释法说理个人信息处理者仍不愿出具相关证据(个人信息保护影响评估报告等)，以之证明其已有效控制个人信息处理风险、反驳关于违法性的推测结论，则结合理性人趋利避害的心理可合理推知——个人信息处理者未有效控制风险。此时，根据“无正当理由拒不提交自己控制的不利于自己的证据，则认定待证事实成立”这一原理，一阶判断的推测结果足以作为最终判断结论(见表1)。

第四，一阶判断结果能够辅助过错要件的判断，进而助力合理把握个人信息处理者的责任范围。虽然部分个人信息处理行为最终被认定具有违法性，但在之后的判断有无过错环节中，若个人信息处理在一阶判断中被认定合法，便存在个人信息处理者被认定为无过错的空间(见表1)。而过错要件是承担侵权损害赔偿责任、行政责任和刑事责任的必要前提。于是，一阶判断结果对过错认定的影响，将有助于避免对遵守个人信息处理具体规范者课以过度严苛的责任。例如，个人信息处理者已经依据个人信息处理具体规范采取安全保障措施，但仍因黑客技术发展先人一步而被攻击造成数据泄露。此时难谓风险可控，故可判断为个人信息处理违法，但可认定个人信息处理者无过错。相应地，个人信息处理者只需要因违法而采取补救措施(如将系统安全保护等级提升)，但不需要承担损害赔偿责任、行政责任和刑事责任。

第五，合理节省执法者和司法者的论证义务。相比正当原则，个人信息处理具体规范显然在适用上更为简易，适用者的论证义务更低。

第六，举证责任方面的考量。因个人信息处理活动而被侵权的个人，起诉时应初步证明个人信息处理具有违法性。在双阶判断框架中，个人仅需证明个人信息处理违反了某一特定的个人信息处理具体规范，即完成关于“违法性”问题的举证任务。此种举证责任配置符合个人信息处理领域中个人的实际举证能力，毕竟个人信息处理具体规范中相应部分要求仅为程序性要求，如“告知”“同意”“设置显著的提示标识”“建立便捷的个人行使权利的申请受理和处理机制”等。相反，若抛弃第一阶判断而仅保留第二阶判断，则个人为了就违法性进行举证，就需证明个人信息处理风险水平与风险控制措施不匹配，举证成本极高，此实为强人所难。

第七，给个人信息处理者以行为预期，防止其无所适从。相比仅给出“风险可控”的宏观要求，设置一套行为规范作为指引更具可操作性。而基于事后违法性判断与事前合规的一体两面关系，承认个人信息处理具体规范在违法性判断中具有重要作用，即能在事前给个人信息处理者以较为明确的行为指引；相反，如果作为事前重要指引的个人信息处理具体规范在事后判断违法性时被彻底忽略，则难谓逻辑自洽，甚至会释放错误信号，进而导致个人信息处理者漠视个人信息处理具体规范。

(二)一阶判断标准的缺陷分析

虽宜保留基于个人信息处理具体规范的一阶判断，但一阶判断(或其依据的个人信息处理具体规范)存在三方面缺陷，最终导致实定法层面的风险控制手段欠缺应然层面风险控制手段所应具备的灵活性这一关键属性。这是一阶判断功能应当弱化的前提。另外，前文第“二(三)”部分提出，双阶判断标准架构及其内部“遵从—统辖”关系的前提是实定法上个人信息处理具体规范与应然层面风险控制手段存在“差距”，此处便意在将此种“差距”(即三方面缺陷)详细论证。

三方面缺陷分别是风险控制手段固定化、法定化及简单化，以下次第展开。第一，固定化。个人信息处理具体规范对每一种处理情形均绑定确定的风险控制措施，妨碍了风险控制手段的灵活性，极大压缩个人信息处理者灵活运用风险控制措施的空间。例如，关于个人信息提供行为，个人信息处理具体规范穷尽式列举了三项风险控制措施：一是单独同意；二是事前进行个人信息保护影响评估；三是对处理情况进行记录。此种固定的风险控制手段(方案)是否真正妥适，有待市场、实践检验，但至少此种没有留下变通空间的规定使得被固定化的风险控制措施无法同步回应个人信息处理风险水平的不断发展变化，也无法跟进风险控制措施的迭代进度。

第二，法定化。若风险控制手段固定化意在指涉将特定风险水平与特定风险控制措施绑定，则风险控制手段法定化意在说明风险控制措施的可选择范围被限制于“法律、行政法规”明确列举的范围内。例如，《个人信息保护法》第51条虽强调针对个人信息处理的风险水平采取针对性措施，但该条在明确列举“制定内部管理制度和操作规程”等五种具体风险控制措施后，将兜底条款表述为“法律、行政法规规定的其他措施”。这表明，对于那些随着科学技术的发展而出现的、控制风险更有效的新型风险控制措施，个人信息处理者没有义务采取且不需要为此承担任何责任，除非法律或行政法规有明确的强制规定。在风险、技术瞬息万变的现代社会，这样的变相限制殊值商榷。

第三，简单化。此处“简单化”意在说明个人信息处理具体规范将“不处理”作为重要的风险控制措施。以《个人信息保护法》第13条为例：若按“构成要件—法律效果”式结构加以整理，则该条等同于下列表述，个人信息处理未获得合法性基础的，个人信息处理者不得处理个人信息。换言之，关于前述风险情形，个人信息处理具体规范所配置的相应风险控制措施是不处理个人信息。然而，将“不处理”作为风险控制措施之一难谓妥适。至少从现实来看，自从“未经单独同意则不得提供个人信息”(《个人信息保护法》第23条第1句)这一规则出现后，个人信息几乎成为流通禁区(即使个人信息处理者有能力确保个人信息权益在个人信息流通中仍能得到妥善保护)。各地数据交易所中稀少的个人信息交易量，以及各地在公共数据开放制度文件中禁止开放公共数据中涉及个人信息部分，都足以反映现实中的个人信息流通困境。近年来在国家强调数据要素市场建设的背景下，“不处理”作为风险控制措施之一的妥适性就更值得怀疑。对此，荷兰莱顿大学巴特·卡斯特(Bart Custers)教授表达得更为直白，即此种制度设计与构建数据要素流通利用秩序从根本上相违背。类似地，苏黎世大学研究员托拜厄斯􀅰纳爱弗(Tobias Naef)更是强调应警惕在数据保护的同时沦为数据保护主义。

(三)一阶判断标准的功能弱化

由上，一阶判断标准的功能不再是违法性“确认”而仅系违法性“推测”。换言之，以个人信息处理具体规范为标准的一阶判断之结论，就并非具备当然的说服力和终局不可推翻性。此处将一阶判断标准之功能表达为“推测”而非“推定”一词，意在表明:经过一阶判断就对违法性问题下结论，尚不充分；无论经过一阶判断认定为合法抑或违法，都应经过二阶判断。将一阶判断标准的功能弱化为推测，理由有两方面：

一方面，从事后更好地判断违法性角度，将一阶判断标准的功能从“确认”弱化为“推测”，将有助于防止出现“枉”与“纵”两类悲剧。一是“枉”。部分个人信息处理行为，虽表面上不符合个人信息处理具体规范，但配合实定法未强制采取的其他风险控制措施后，实现了个人信息处理风险可控。典例是处理个人信息虽未获得个人有效同意，但有效控制了风险。如果仅仅对照个人信息处理具体规范判断这样的行为，则易认为其具有“违法性”。但事实上，同意本质上是个人对处理目的、处理方式等事项的认可，而这些事项本质上仅属判断风险可控的部分因素而已。这表明，若一阶判断的功能仍为确认而非推测，则该类个人信息处理行为在违法性判断上将被冤枉。这体现了风险控制领域“重形式轻实质”的弊端。虽然这涉及对形式正义与实质正义关系的讨论，但此处并不必援引相关理论详尽展开。因为新近发生的食品风险领域“拍黄瓜未办专营许可被处罚”事件、建筑风险领域“齐齐哈尔中学体育馆通过安全检查却倒塌致多人死亡”事件，都足以在个人信息处理风险控制问题上引起对形式主义的警惕。二是“纵”。尚有另一种可能性，即个人信息处理活动符合个人信息处理具体规范，但个人信息处理风险未得以有效控制，仅依靠个人信息处理具体规范进行单阶判断，就存在遗漏评价这种实质违法情形的可能。这一遗漏现象在司法实践中已有所抬头。例如，在“济南磨滴案”中，法院仅以个人信息处理者获得同意为由，甚至未审查个人信息处理过程，便径直将个人信息处理行为定性为合法。就此而言，荷兰拉德堡德大学拉斐尔·盖勒特(Raphaël Gellert)的下述论断颇具启发意义：所谓数据处理合法，应当是一种程度高低的差别而非是与否的差别。

另一方面，从事前合规角度看，确立“推测”功能有助于避免向个人信息处理者释放误导性信号。因为如果一阶判断标准具有终局确认违法性的作用，则在法律规定的风险控制措施范围之外采取的其他风险控制措施并不能被纳入法律评价视野，进而个人信息处理者不会因额外的努力而获得法律评价的正面反馈。同样地，不积极采取法外风险控制措施，也不会给个人信息处理者带来法律评价上的负面影响。因此，若赋予一阶判断标准以违法性确认功能，则个人信息处理者在事前合规管理中很可能呈现“消极”姿态，其关注的将仅限于落实个人信息处理具体规范所明确规定的义务，而对于国家利益、社会公共利益和个人信息权益实际面临的风险是否得到有效控制漠不关心。需要高度警惕的是，这样的误导性信号已经开始影响到个人信息处理者。例如，我国某大型电子设备公司就将个人信息合规工作的策略确定为：仅将法律法规和已正式生效的裁判文书载明的行为规范提取出来并逐条落实。此种负面激励信号进一步说明，一阶判断标准的功能从“确认”弱化至“推测”具有重要意义。

至此，或仍有质疑：设若一阶判断标准仅具违法性“推测”功能，将挑战个人信息保护规范作为实定法的权威。这一质疑看似合理但经不起推敲，理由有四：第一，前述质疑存在以偏概全的逻辑谬误。经过一阶判断，只能确定是否符合个人信息处理具体规范，不能确定是否违反“正当原则”。然而，个人信息处理不具有“违法性”强调对个人信息保护规范整体的遵守，而正当原则也是整体中的重要组成部分。据此，仅判断符合个人信息处理具体规范便径直得出不具有“违法性”的结论，反而失之武断。第二，不遵守实定法并不必然表明实定法权威遭到挑衅。因为实定法有强行规则和默认规则之分，如果是默认规则被违反，则并不表明默认规则作为实定法的权威遭遇挑衅。默认规则以«中华人民共和国民法典»合同编为典型，当事人通过合同约定排除适用合同编规定，并非挑战了合同编规范的权威。若说意思自治是合同编规范成为默认规则的基础，则风险的不确定性便是个人信息处理具体规范“默认规则化”的基础。以不确定性为核心特征的风险，天然地决定了个人信息处理具体规范也应体现风险控制手段的灵活性，否则这些具体规范就难以逃脱频繁被修改的命运。一阶判断标准的功能弱化，也只是个人信息处理具体规范“默认规则化”在违法性判断这一细微制度节点上的映射和缩影。第三，违反实定法中具体规范仅被推测具有违法性，此现象即使在域外亦并非罕见。例如，美国法学界早有理论主张违反法律的明确规定仅构成违法性的表面证据。第四，我国目前执法实践对于一阶判断标准的功能弱化倾向已经表现得更加包容，在坚守个人信息处理具体规范方面已有所松动。

一般地，经过一阶判断，无论推测是否具有违法性，都宜接续二阶判断。二阶判断标准(“有效控制风险”)以《个人信息保护法》第5条中的正当原则为规范依据。经由二阶判断标准对一阶判断之推测结果的“核查”，可以最终得出个人信息处理是否具有违法性的结论。二阶判断标准的具体实施有其相应策略。

(一)二阶判断标准的规范依据

二阶判断标准考察风险控制目的是否真正实现，即是否“有效控制风险”，其规范依据是正当原则(《个人信息保护法》第5条中第2项原则)。应然层面风险控制目的与实然层面正当原则具有对应关系，原因在于正当原则的基本意涵与风险控制目的的核心要求一致，以下详细展开。

正当原则的基本意涵是：个人信息处理对国家、社会及个人不得造成不合理风险。欲正确理解正当原则，有必要首先充分考察域外个人信息保护规范中对正当原则的诠释。众所周知，正当原则不是我国个人信息保护规范的“特产”，而是承继自域外个人信息保护规范。提到域外个人信息保护规范中的正当原则，就必然无法回避美国制定的《正当个人信息处理准则》。在这份文件中，“正当”(fair)是对个人信息处理秩序的总体要求，该原则要求不得对个人信息主体造成不合理风险。在欧盟《一般数据保护条例》(下称 GDPR)中，正当原则也是“帝王”原则。根据对 GDPR中正当原则较为权威的解释，正当原则意为数据处理不对个人造成不合理风险，且没有通过不正当的手段、欺骗或不知情的方式被获得，或以其他方式被处理。已与欧盟脱钩的英国将个人信息保护规范中的正当原则理解为：个人信息处理者不得使用个人信息对个人信息主体造成不合理的负面效果。总之，在前述数据法方面的三个典型法域中，正当原则均含有下述共识性意涵：要求风险可控(有效控制风险)。

在考察域外对正当原则的诠释方案后，有必要继而结合我国个人信息保护规范实际情况再度审视我国正当原则之应有内涵。正如英国信息专员办公室专家所指出的，不同法域个人信息保护规范对于正当原则的表述各不相同，导致正当原则在不同法域的意义存在差异。也有机构主张根据社会发展变化而灵活确定数据法中正当原则的当下含义。在这种理念的指引下，经综合分析可见，欧盟对于正当原则的解读方案，相比美国和英国，范围更加宽广：除认为正当原则要求对国家、社会及个人不得造成不合理风险外，还要求个人信息处理者诚信。但应看到，我国《个人信息保护法》将诚信原则作为独立的原则，并将其内涵表述为“不得通过误导、欺诈、胁迫等方式处理个人信息”(第5条)。这表明，对我国正当原则的理解不能照搬欧盟，至少应将“诚信”这一意涵从正当原则中涤除。这恰恰起到对正当原则意涵的正本清源作用。因为相较而言，个人信息处理者保持诚信最终仍然属于风险控制手段，而非风险控制目的。

正当原则此种内涵与个人信息处理风险控制目的相契合，进而表明正当原则是二阶判断标准的适格规范依据。或有观点对此表示反对。相应地，或存在四种反对理由，以下依次列举并评析。

第一，禁止向一般原则逃逸。本文提出的双阶判断标准与此并不矛盾。一方面，禁止向一般原则逃逸是禁止“优先、径行”适用原则，而并非等同于禁止适用原则，更何况根据最高人民法院的倾向性意见，正当原则具有独立适用价值，难谓无适用空间。在双阶判断中，正当原则后置于个人信息处理具体规范而适用，此种适用顺位安排已经符合禁止向一般原则逃逸的要求。另一方面，禁止向一般原则逃逸的底层逻辑在于一般原则的内涵具有不确定性，进而导致法律适用者的自由裁量权过大。但是根据前面的论述，个人信息保护规范体系中的“正当原则”虽然是原则，但是其内涵具有确定性，即指涉“有效控制风险”。不仅如此，判断是否“有效控制风险”还需要依托个人信息保护影响评估报告等文本载明的结论，法律适用者的自由裁量范围不大。故即使以正当原则作为第二阶判断的规范依据，本质上也符合“禁止向一般原则逃逸”的要求。

第二，正当原则仅调整个人信息处理目的，不能作为二阶判断规范依据。但该理解失之偏狭。一方面，此理解极大限缩了正当原则的内涵。一般认为，正当原则不仅调整处理目的，还调整处理方式等诸多方面。另一方面，若肯认正当原则仅调整个人信息处理目的，则正当原则与《个人信息保护法》第6条中“目的明确合理”的要求将完全重复，进而被实质架空。因此，殊难认同。

第三，正当原则已经完全展开于个人信息处理具体规范，无剩余意义。该理由也无法肯认。一方面，按照最高人民法院的倾向性意见，相比个人信息处理具体规范，正当原则有其独特意义，其应与个人信息处理具体规范共同作为对个人信息处理活动的要求。另一方面，《个人信息保护法》存在若干兜底条款(如第13条第1款第7项)与授权继续制定规范的条款(如第62条第1、2、5项)。这表明立法者亦认为个人信息处理具体规范尚未完全展开正当原则。

第四，第5条中合法原则、必要原则、诚信原则或者第1章中第6条以下的其他要求更适合作为二阶判断规范依据。此理由也难成立。按照本文“风险控制手段—风险控制目的”的双阶逻辑，二阶判断最终依归于风险控制目的，而第5条中合法原则、必要原则、诚信原则或者第1章中第6条以下的其他要求皆仅为风险控制手段的若干具体表现而已。详言之，合法原则仅具有规范指引功能，其本身不蕴含独立的适用意义。关于必要原则，通说认为其只是对个人信息处理目的、范围、存储时间等方面最小化要求的总体规定，无法涵盖个人信息处理的其他方面。诚信原则同样如此，仅强调个人信息处理者在隐私政策中诚实描述个人信息处理活动各项情况，并保持客观实际与隐私政策中的描述相一致，也无法涵盖个人信息处理的其他方面。至于第6条以下的要求亦复如是，仅为透明度、安全等方面的具体要求。因此，这些除正当原则以外的要求，仍仅可作为个人信息处理具体规范的组成部分，即构成一阶判断标准的规范依据。

(二)二阶判断标准的功能分析

个人信息违法性判断引入第二阶判断标准的最基本功能在于对一阶判断推测结果进行“核查”，提升个人信息处理违法性判断的准确度，使其更接近于“不枉不纵”的理想效果。“核查”意为“审查核实”，并非意在指涉第二次依据个人信息处理具体规范进行违法性审查。核查结果将包括对一阶判断结果的认可、矫枉和补漏三种情况：

一是认可。客观而言，个人信息处理具体规范主要沿用行为形态学思维、要件式结构，将相关个人信息处理行为的典型特征经总结后表述为具体规范。若个人信息处理行为符合个人信息处理具体规范，则大概率也符合正当原则；反之亦然。但这仅是统计学意义上的关联性，只有经过二阶判断认为准确，方能真正认可一阶判断的推测结果。

二是矫枉，即纠正个人信息处理活动被一阶判断“冤枉”为具有违法性的情况。个人信息处理行为违反个人信息处理具体规范，但若经过二阶判断认为实现了风险可控，则应认定个人信息处理行为不具有违法性。

三是补漏。部分个人信息处理行为符合个人信息处理具体规范，但未能实现风险可控，未满足正当原则，则此类行为实质上具有违法性。但一阶判断往往会因遗漏评价、“放纵”此类行为而不认为其具有违法性，通过二阶判断则有助于抓住此类“漏网之鱼”。或有观点质疑，若个人信息处理者严格履行个人信息处理规范却仍有可能被认为具有违法性，则将打破个人信息处理者的预期。其实不然。因为在体系上风险控制目的(正当原则)只是作为“违法性”方面的判断标准而非“过错”要件的判断标准。进而，如果依照社会理性人的“当时”视角，个人信息处理者根据具体情事而采取本行业通行、先进的技术与组织措施，却仍然无法达成风险可控之效果，则说明个人信息处理者没有过错(见表1)。相应地，虽然个人信息处理被判定违法，但是个人信息处理者也可能因无过错而不承担责任。通过此种解释论上的安排，仍能确保个人信息处理者的预期被维持。当然，相关个人信息处理者虽无过错但的确违法，因此仍然具有采取完善措施的义务，这也是应然之理。

除“核查”这一最基本的功能外，引入二阶判断还具有其他五方面功能。第一，消解公法与私法关于个人信息处理违法性判断标准的冲突。当一部规制法出台，公法上判断违法性往往就以该规制法为标准，私法上更倚重社会理性人标准。这一标准差异可能导致公法学者与私法学者对同一行为的违法性判断得出截然相反的结论，不利于统一法秩序的建构。而二阶判断中引入正当原则，本质上起到了统一公法标准与私法上社会理性人标准的作用。

第二，激励个人信息处理者事前更好完成合规义务。有学者质疑企业为何要履行法律未明确规定的义务，也有学者同样担心个人信息处理者“被赋予的义务本质上是改进立法机构规定的义务，以及对其在个案中的处理行为将被如何定性进行事前猜测”。但这样的质疑和担心皆属多余。一方面，个人信息处理者采取的超越个人信息处理具体规范的风险控制措施，都能够在法律评价时被充分考虑，这就具有激励个人信息处理者“主动”“灵活”完成合规的作用。另一方面，对企业而言，以风险有效控制为目标，即使采取除个人信息处理具体规范所规定措施以外的风险控制措施，也并非难事。例如，在一场调研活动中，某知名自动驾驶汽车制造企业提出，只要确认法律允许企业在采取风险控制措施方面拥有一定灵活空间，企业就完全有技术能力和组织能力实现风险可控。

第三，调和个人信息处理具体规范的内部龃龉。有学者发现，个人信息处理具体规范内部存在龃龉，如必要、透明等要求有时不能兼而满足。例如，凌某诉抖音案便呈现出算法透明与商业秘密保护之间的矛盾。当重视二阶判断标准(有效控制风险)时，前述困境迎刃而解，因为能够实现个人信息处理风险可控的方案实质上即各原则间的平衡适用方案。这也表明，正当原则是协调个人信息处理具体规范内部关系的有效工具。

第四，促进数据要素市场建设。假定个人信息处理活动未获得合法性基础，但这一个人信息处理活动并非现行法所禁止，且能有效控制风险，而经过二阶判断，结合对于处理场景的考量，就存在认定此类个人信息处理活动不具有违法性的空间。这对破除个人信息流通的制度障碍大有裨益。

第五，减轻个人信息处理者不必要的合规负担。以匿名化为例，匿名化中的“不能复原”(《个人信息保护法》第73条第4项)要求极为严格，目前哈希等技术不可能符合该要求。相应地，业界致力于继续投入大量成本研究实现匿名化的新技术，承受了巨大合规负担。然而，若采纳双阶判断标准，则此负担可以消除。因为虽然采取哈希等风险控制措施无法做到匿名化，但是已经可以达到风险可控，企业便不必担心违法，不必投入不必要成本。

(三)二阶判断标准的实施策略

首先，二阶判断标准的实施思路是评估个人信息处理活动本身的风险水平与个人信息处理者采取的“全部”风险控制措施的适配度。对此需作三点澄清：第一，考虑个人信息处理者采取的“全部”风险控制措施。虽然个人信息处理具体规范也“犹抱琵琶半遮面”般地体现了上述实施思路，但第二阶判断标准与之重大不同处在于，将个人信息处理者所采取的法律、行政法规规定以外的风险控制措施也纳入评价范围。例如，国家网信办就“滴滴公司数据安全案”的分析中就渗透着此种思路，总体上比较、评估了风险水平与全部风险控制措施的适配度。第二，二阶判断的思路强调风险水平与风险控制措施之间的适配度，而非彻底消除风险。因为通常认为风险必然存在，所以消除风险并不可能。相应地，消除风险亦非二阶判断的总体要求。第三，风险水平与风险控制措施之间的适配性(或有效风险控制)不等同于不发生风险事故。申言之，发生风险事故表明未有效控制风险(但有可能无过错)，而不发生风险事故未必表明有效控制风险，可能仅是侥幸而已。

其次，二阶判断标准的实施一般可以借助《个人信息保护法》提及的三种工具：个人信息保护影响评估、个人信息保护认证以及安全评估。这三种制度工具均包含评估是否有效控制风险这一内容，且通常将是否有效控制风险的评估任务交给具备专门知识和能力的专业机构和人员。虽然法律规定个人信息处理者只有在特定情形下才有“义务”进行三种评估(认证)，但个人信息处理者也有“权利”主动借助三种制度工具进行合规建设，或者用相应评估报告作为证明有效控制风险的重要证据。另外，在二阶判断中，若法院认为有必要评估是否有效控制风险，也可以借助三种工具并以相应评估报告作为判断风险是否可控的参考依据。这也反映了一种趋势：当开始关注风险是否得到控制，就表明法律界人士要注重从法外汲取营养(例如技术、管理等知识)，并重视参考风险控制判断相关的标准文件。

再次，为了不对技术、管理人员出具的风险控制有效性报告“患上依赖症”，数据法律共同体可结合特定参考因素和常识进行补充性判断。按照“全面摸排、重点评估”的原则，并结合执法重点目标或者案件裁判范围，明确评估范围为个人信息处理者的全部抑或部分个人信息处理活动。之后，可以按照类型化思维进行判断：第一类是评估来自个人信息处理者以外的第三人的风险(主要是个人信息泄露风险及个人信息泄露所引发的风险)是否被有效控制；第二类是评估来自个人信息处理者本身的风险是否被有效控制。

针对第一类风险控制有效性的评估，主要考虑三个方面：第一，已经发生风险事故(例如大规模个人信息泄露事故)，则倾向于认定风险控制无效。例如，在“庞理鹏诉东方航空案”中，法院认为东方航空风险不可控的重要因素在于其发生过多起风险事故。当然，发生风险事故说明风险不可控，但并不代表个人信息处理者有过错，因此不必然表明个人信息处理者需要承担责任，仅表明个人信息处理者有采取完善措施之义务。第二，未发生风险事故的，应考察法定的个人信息安全保障措施是否“完全”落实到位。此处主要考察采取风险控制措施的“程度”。例如，在“周亚枫与农业银行案”中，周亚枫银行卡信息被泄露进而被盗刷银行卡，法院认为虽然农业银行对个人信息采取了法定的安全保障措施，但是程度不够，故认定风险不可控，进而判定农业银行违法。对程度的审查可以结合当时情况，并参考同业者的惯例、行业标准、行业自律性意见及相关共识。第三，未发生风险事故，且未严格采取法定措施，可要求个人信息处理者说明其采取了足以达到与法定措施相同效果的其他措施。例如，在“吴某诉某购物平台案”中，某购物平台擅自将吴某姓名、身份证号码提供给合作支付企业，法院认为既然未经同意，则必须另外采取更加审慎、周密的方式以有效控制风险。

针对第二类风险控制有效性的评估，主要考虑三个方面：第一，考察风险事故情况。发生个别性侵权事件比发生大规模侵权事件、发生偶然性侵权事件比发生重复性侵权事件，更易被认定为风险低。第二，考察处理目的。在二阶判断中，对处理目的的考察，不应仰赖个人信息处理者制定的“隐私政策”等文件，而应结合个人信息处理范围、处理期限等因素进行实质审查。因为实践中有的个人信息处理者在隐私政策中将处理目的修饰得非常明确、特定、合理，但是结合其个人信息处理范围，可以推断其处理目的并不仅限于隐私政策中的表述范围。如果存在潜在处理目的，应判断潜在处理目的是否对国家利益、社会利益和个人信息权益有侵权危险。如果处理目的本身具有侵权性质(例如为诈骗或为分析个人性取向)，则宜直接认定风险不可控。按照这一判断思路，在“凌某诉抖音案”中，法院的观点值得商榷。法院认为抖音运营方超过合理期限存储个人信息，怀疑风险不可控。但事实上，超期存储个人信息，虽然表明可能存在潜在其他处理目的，但这些目的不必然具有侵权之威胁。第三，考察处理方式。非自动化处理比自动化处理、公开以外的处理行为比公开行为、处理过程透明度高比透明度低等情形更容易被认定为风险可控。例如，在“微信读书案”中，法院认定微信读书的信息处理行为存在较高的侵害用户隐私的风险，重要理由之一是案涉处理行为系公开行为。

最后，个人信息处理违法性双阶判断进路及其结论如表1所示：

应当承认，在行为规制范式之下，当前盛行的个人信息处理违法性的单阶判断标准逐渐浸染了法教义学“全有全无”的风格。然而，在风险法领域，既然全体行为规范均出发并落脚于“风险可控”这一目标(目的)的实现，那么行为规制范式最终应受制于“目标规制范式”。而个人信息处理违法性双阶判断的本质，便系以违法性判断制度为试点，以解释论为进路，承认、设法逼近并最终回归个人信息保护规范体系的“风险可控”目标，以逐步实现个人信息领域的实质法治，避免极端规则化和极端原则化。违法性双阶判断标准仅是在数据法整体图景中的一个板块展开尝试的结果，本文希望其能够作为促进数据要素流通的一种可能的法律解释、适用方案。数据法律共同体可以遵循类似思路来解释适用数据法的其他板块，找到现行法律的妥适解释、适用方案，使数据法真正服务和保障数据要素市场建设。